Check Point: CVE-2026-85102 e CVE-2026-85103 RCE VPN

“`html

Due nuove vulnerabilità critiche mettono a rischio migliaia di infrastrutture aziendali che si affidano a Check Point per la sicurezza perimetrale. Identificate come CVE-2026-85102 e CVE-2026-85103, entrambe con un punteggio CVSS di 9.8, permettono l’esecuzione di codice remoto (RCE) senza necessità di autenticazione sui componenti VPN. Se gestisci un gateway Check Point esposto su Internet, questo articolo ti spiega cosa sta succedendo, quali rischi corri e come intervenire subito.

Cosa sono le vulnerabilità CVE-2026-85102 e CVE-2026-85103

La disclosure pubblica risale a settembre 2026 e riguarda i componenti VPN dei prodotti Check Point, colpendo sia i gateway di sicurezza sia, in alcuni scenari, il Security Management Server. Il dato più preoccupante è che l’attaccante non deve autenticarsi per sfruttare queste falle: basta raggiungere il servizio VPN esposto in rete.

CVE-2026-85102: validazione impropria dei certificati

Questa vulnerabilità nasce da un difetto nella validazione dei dati del certificato durante la fase di negoziazione VPN. Un attaccante remoto può inviare un certificato o un payload manipolato al listener VPN e ottenere l’esecuzione di codice arbitrario, senza bisogno di credenziali valide.

CVE-2026-85103: heap overflow nel parsing ASN.1

Il secondo bug riguarda un heap overflow nella fase di parsing e decodifica ASN.1 dei certificati. In pratica, dati certificate-crafted inviati durante l’handshake VPN possono corrompere la memoria del dispositivo, con conseguente possibilità di esecuzione di codice sia sul gateway che, in condizioni specifiche, sul Security Management Server.

Perché queste vulnerabilità sono così pericolose

Il vettore d’attacco sfrutta i servizi VPN esposti pubblicamente, tipicamente tramite le porte UDP 500 e 4500 utilizzate da IPsec e IKE. Qualsiasi dispositivo con Remote Access VPN o Site-to-Site VPN attivo e raggiungibile da Internet è potenzialmente a rischio immediato.

Le conseguenze di uno sfruttamento riuscito possono essere gravi:

• Intercettazione ed esfiltrazione del traffico VPN aziendale.
• Furto di chiavi crittografiche e certificati.
• Installazione di backdoor persistenti per il pivoting nella rete interna.
• Compromissione del Security Management Server, con impatto sulla gestione centralizzata delle policy di sicurezza.

Dal punto di vista del business, il rischio si traduce in perdita di confidenzialità dei dati, possibili interruzioni operative e un danno reputazionale non trascurabile per le organizzazioni che si affidano a queste soluzioni perimetrali.

Exploit pubblici e sfruttamento attivo: la situazione attuale

Al momento della disclosure iniziale, le analisi pubbliche non riportano proof-of-concept (PoC) affidabili né evidenze di sfruttamento attivo “in the wild”. Questo non deve però abbassare la guardia: trattandosi di vulnerabilità RCE senza autenticazione, la finestra tra la disclosure e la comparsa dei primi exploit funzionanti può essere molto breve. È fondamentale agire in fretta, prima che la situazione cambi.

Come proteggersi: patch e mitigazioni immediate

La priorità assoluta è applicare le patch ufficiali rilasciate da Check Point. Ecco un percorso pratico da seguire.

1. Applicare le patch ufficiali

Verifica sul portale di supporto Check Point gli SK e gli hotfix specifici per la tua versione e applica l’aggiornamento il prima possibile, testandolo prima in un ambiente non produttivo se le tempistiche lo consentono.

2. Mitigazioni temporanee se non puoi patchare subito

• Limita l’accesso alle porte UDP 500 e 4500 solo agli IP dei peer VPN strettamente necessari.
• Disabilita temporaneamente Remote Access VPN o Mobile Access se non indispensabili.
• Valuta di spostare il servizio VPN dietro un edge di controllo accessi aggiuntivo.
• Rivedi le “implied rules” e le policy che potrebbero concedere accesso interno senza controlli extra.
• Aumenta il livello di logging e monitoraggio sulle connessioni verso i dispositivi esposti.

3. Attività da svolgere dopo la patch

Una volta applicata la patch, non fermarti qui. Ruota le chiavi e i certificati potenzialmente esposti, cambia le credenziali amministrative in caso di sospetta compromissione ed esegui un’analisi forense sui dispositivi per escludere intrusioni pregresse.

Cosa monitorare: segnali di attacco e indicatori di compromissione

Poiché al momento non esistono IoC pubblici standardizzati per queste CVE, è importante concentrarsi su comportamenti anomali. Ecco cosa tenere d’occhio:

• Traffico di rete: picchi insoliti verso UDP 500/4500 o connessioni da sorgenti non autorizzate.
• Log dei dispositivi Check Point: errori di parsing dei certificati, crash del processo VPN, riavvii inattesi, core dump.
• Management Server: processi non riconosciuti, file binari nuovi, connessioni outbound sospette.
• Ricerche SIEM utili: log contenenti termini come “ASN.1”, “certificate parse error”, “vpn negotiation error” o “IKE error”.

Checklist operativa rapida

Riassumendo, ecco i passi essenziali da seguire subito:

1. Individua tutti i dispositivi Check Point esposti su Internet con VPN attiva e verifica le versioni firmware.
2. Consulta il portale ufficiale Check Point e applica la patch appropriata, prima in test e poi in produzione.
3. Se non puoi patchare subito, blocca l’accesso a UDP 500/4500 e disattiva i servizi VPN non essenziali.
4. Attiva un logging più dettagliato e conserva i log per almeno 30 giorni.
5. Dopo la patch, esegui un controllo forense e ruota chiavi e certificati.
6. Informa i team IT, network e SOC sulla vulnerabilità e definisci procedure di emergenza per isolare gateway compromessi.

Conclusione

Le vulnerabilità CVE-2026-85102 e CVE-2026-85103 rappresentano un rischio concreto e immediato per chiunque utilizzi soluzioni VPN Check Point esposte su Internet. Anche se al momento non risultano exploit pubblici o attacchi confermati, la natura RCE senza autenticazione di questi bug impone massima attenzione. La strategia più efficace resta l’applicazione tempestiva delle patch ufficiali, affiancata da mitigazioni temporanee come la limitazione dell’esposizione delle porte VPN e un monitoraggio rafforzato. Agire subito, prima che compaiano i primi exploit pubblici, è la differenza tra prevenire un incidente e doverlo gestire a danno già fatto.

“`